ERP der nächsten Generation bedeutet für viele Unternehmen ERP aus der Cloud. Mit Angeboten wie SAP HANA Cloud und SAP RISE wird dies zusätzlich vorangetrieben. Gleichzeitig ist das ERP häufig noch immer ein „weißer Fleck“ der IT-Sicherheit und damit die verwundbare Achillesverse, auf die Angreifer zielen. Doch Unternehmen können sich schützen. Gastbeitrag von Volker Eschenbächer.
Foto: Onapsis
Der Autor Volker Eschenbächer ist Vice President Sales EMEA & APAC bei Onapsis.
Es ist bekannt: Durch die Migration in die Cloud ergeben sich mehr Flexibilität, Agilität, eine leichtere Skalierbarkeit für Unternehmen sowie leichterer Remote Access für Mitarbeitende. Gleichzeitig vergrößert sich die potenzielle Angriffsfläche für Cyberkriminelle, die es auf die wertvollen Unternehmensdaten in geschäftskritischen Business-Anwendungen abgesehen haben. NextGen ERP braucht daher auch NextGen ERP-Sicherheit.
ERP-Anwendungslandschaften sind häufig über viele Jahrzehnte gewachsen und daher hochkomplex. Das Problem ist, dass Unternehmen aufgrund dieser verzweigten Infrastrukturen meist der Überblick fehlt, welche Anwendungen tatsächlich genutzt werden – und das bereits bei On-premise-Implementierungen. Durch die Cloud, weitere integrierte Lösungen und Anbindungen mit Zulieferer- und anderen Drittsystemen wird die Struktur immer komplexer, erschwert einen umfassenden Überblick und ein konsequentes Schwachstellenmanagement. Wenn nicht bekannt ist, welche Geschäftsanwendungen tatsächlich in Betrieb sind, fliegen diese regelrecht unter dem Radar von Auditoren, Schwachstellen werden nicht erkannt und folglich auch nicht gepatcht.
Hinzu kommt, dass IT-Teams und sogar Security-Experten häufig ein ausreichend tiefes ERP-Verständnis fehlt, um diese Anwendungen adäquat abzusichern: CISOs und Security-Verantwortliche sind Sicherheitsspezialisten, aber – verständlicherweise – keine ERP-Fachleute. Die Kombination aus einer fehlenden Übersicht und begrenztem Knowhow macht das ERP, obwohl es zu den wichtigsten Unternehmenssystemen gehört, vielfach zu einem weißen Fleck auf der IT-Sicherheitslandkarte.
Neben wohlbekannten Produktivsystemen laufen – teilweise mehr oder weniger unbemerkt im Hintergrund –weitere nachgelagerte oder Altsysteme in der ERP-Landschaft. Unternehmen benötigen eine Inventarisierung restlos aller Anwendungen, um sicherzustellen, dass diese konsequent überprüft und gepatcht werden können. Im besten Fall sollten bei dieser Bestandsaufnahme auch weitere Assets abgedeckt werden, wie zum Beispiel SAProuter oder Proxy in einer Netzwerkverbindung zwischen SAP-Systemen oder zur Außenwelt.
NextGen Security bedeutet auch, jederzeit über neue Angriffsvektoren, Schwachstellen und cyberkriminelle Aktivitäten der Angreiferseite auf dem Laufenden zu bleiben. So arbeiten beispielsweise die Onapsis Research Labs eng mit SAP zusammen und liefern regelmäßig neue Insights zu aktuellen Schwachstellen, die es zu patchen gilt. Die Security Researcher des Labs Teams monitoren die Bedrohungslandschaft und teilen ihr Wissen mit Unternehmen und der SAP-Community.
Erst, wenn man weiß, welche Bedrohungen und Schwachstellen es gibt, können Gegenmaßnahmen und Patches durchgeführt werden. Studien zeigen jedoch, dass selbst Schwachstellen, für die es bereits Patches gibt, häufig noch wochen- und monatelang ungepatcht bleiben. So dauert es durchschnittlich 65 Tage, um Schwachstellen mit kritischem Schweregrad zu schließen. Gründe dafür sind knappe personelle Ressourcen in den IT-Abteilungen und die Angst, dass es durch das Patching zu Downtimes oder Problemen in der hochvernetzten IT-Infrastruktur kommt. Nicht Patchen ist jedoch keine Option, denn der Schaden, der beispielsweise durch einen Ransomware-Angriff entsteht – z. B. ein mehrwöchiger Produktionsstillstand und kostspielige Recovery-Maßnahmen – übersteigen die Kosten für das Einspielen von Patches bei weitem. Um den Prozess ressourcenschonend und effizient zu gestalten, bieten ERP-Security Provider daher Automatisierungslösungen, die Sicherheitsprozesse von der initialen Anwendungsinventarisierung bis zum automatisierten Patching abdecken. Die Lösungen stellen sicher, dass Patches korrekt eingespielt werden und ermöglichen eine Priorisierung der Schwachstellen, um besonders kritische Vulnerabilities zuerst zu schließen und Angreifern ihren Weg so früh wie möglich zu versperren.
Zur Realität der Cybersicherheit gehört leider immer ein Restrisiko – ganz egal wie gut das Schwachstellen-Management ist. So sind beispielsweise Zero-Days, also Vulnerabilities, für die noch keine Patches entwickelt wurden, attraktive Ziele für Bedrohungsakteure. Diesem Risiko lässt sich mit einem konsequenten Security-Monitoring entgegenwirken.
Beim Schwachstellen-Management werden in regelmäßigen Abständen Point-in-Time-Scans durchgeführt. Zwischendurch sollte die Angriffsfläche kontinuierlich auf Exploit-Aktivitäten und verdächtiges Verhalten überprüft werden. Herkömmliche Threat-Detection-Lösungen sind jedoch nicht ausreichend auf SAP-Bedrohungen ausgerichtet, weshalb sich Unternehmen in der Praxis oft schwertun, effektive Programme zur Bedrohungserkennung für ihre SAP-Lösung zu entwickeln. Es fehlt an aktuellen ERP-Bedrohungsinformationen, Regeln zur Erkennung ERP-spezifischer Attacken und Unterstützung bei der Umsetzung von Maßnahmen zur Verteidigung oder Schadensbegrenzung. Unternehmen sind häufig auf zeitintensive, manuelle Protokollprüfungen angewiesen, die umfangreiches internes Knowhow und IT-Ressourcen erfordern. Eine umfassende Analyse aller Warnhinweise und Anomalien ist so nicht möglich, wodurch bösartige Aktivitäten unbemerkt bleiben und Reaktionen verzögert werden können.
Daher kann es sinnvoll sein, eine spezielle Threat-Detection- and Response-Lösung für ERP-Anwendungen einzusetzen. Diese lassen sich als Plug-in mit bestehenden Sicherheitslösungen integrieren. Sie verfügen über fortschrittliche Detection-Regeln inklusive Zero-Day-Bedrohungserkennung sowie Anomalie-Scores und Analysen des Benutzerverhaltens. Die Regeldatenbanken werden kontinuierlich mit den neuesten Bedrohungsdaten aktualisiert, IT-Sicherheitsteams erhalten automatisch konfigurierte Echtzeitwarnungen, Details zum Schweregrad der Attacke, mögliche Angriffsursachen und Handlungsempfehlungen. So können SAP-Sicherheitsvorfälle in Echtzeit in umfassendere Sicherheitsmanagement- und Incident-Response-Prozesse integriert werden.
Ransomware-Angriffe stellen eine ernsthafte Bedrohung dar, gegen die es kein Patentrezept gibt. Unternehmen können jedoch das Risiko minimieren, indem sie ihre ERP-Sicherheit verbessern und ein proaktives Schwachstellen-Management etablieren, das die gesamte Angriffsfläche kontinuierlich überwacht. Durch ein konsequentes Monitoring können sie im Ernstfall rasch reagieren und böswilligen Eindringlingen den Weg zu kritischen ERP-Infrastrukturen versperren.
Der Autor Volker Eschenbächer ist Vice President Sales EMEA & APAC bei Onapsis, einem Anbieter von ERP-Cybersicherheitslösung für SAP und Oracle.
